Visión general de la alta disponibilidad y la recuperación tras desastre para App ID

Copia de seguridad de la instancia utilizando la API

Para realizar una copia de seguridad de su instancia App ID utilizando la API de gestión, escriba un script que envíe una solicitud a la API App ID para generar archivos que contengan la información de configuración de su instancia App ID. Almacene estos archivos en una ubicación segura porque son necesarios para restaurar la instancia de App ID en una región secundaria.

Defina los valores de la copia de seguridad basándose en la configuración de la instancia de App ID, como por ejemplo lo que se necesita para su caso de uso. Por ejemplo, en el escenario siguiente, puede configurar la instancia de App ID con los valores siguientes:

• políticas de contraseñas, como bloquear el perfil de usuario durante 60 minutos si el usuario especifica una contraseña incorrecta durante tres veces seguidas
• Configuración de SAML

Para recuperar estos valores de usuario con la API de gestión, envíe:

• una solicitud GET al endpoint /management/v4/<tenantId>/config/cloud_directory/advanced_password_management para obtener la configuración de la gestión avanzada de contraseñas.

curl -X 'GET' \
  'https://<region>.appid.cloud.ibm.com/management/v4/<tenantId>/config/cloud_directory/advanced_password_management' \
  --header 'accept: application/json' \
  --header 'Authorization: Bearer <IAM_Token>'

• una solicitud GET al punto final /management/v4/<tenantId>/config/idps/saml para obtener la configuración del proveedor de identidad de SAML, que incluye el estado y las credenciales.

curl -X 'GET' \
  'https://<region>.appid.cloud.ibm.com/management/v4/<tenantId>/config/idps/saml' \
  --header 'accept: application/json' \
  --header 'Authorization: Bearer <IAM_Token>'

Además de mantener una copia de seguridad de los valores de configuración de la instancia de App ID, debe generar una copia de seguridad de los usuarios y perfiles de usuario de Cloud Directory. Para realizar esta tarea, se recomienda utilizar la API de gestión.

• Para exportar usuarios de Cloud Directory, utilice el punto final de API cloud_directory/export/all. Para descargar la exportación, utilice la API cloud_directory/export/download. Para obtener más detalles sobre cómo exportar usuarios de Cloud Directory con la API de gestión, consulte la documentación de Exportación de todos los usuarios.
• Para exportar perfiles de usuario, utilice el punto final users/export.
• Estas dos API de exportación generan dos archivos de copia de seguridad, que debe almacenar de forma segura para utilizarlos posteriormente en el proceso de restauración.

Copia de seguridad de la instancia utilizando Terraform y la API

Para realizar una copia de seguridad de los valores de App ID con Terraform, puede escribir scripts de Terraform para generar archivos que contengan la información de configuración para la instancia de App ID. Almacene estos archivos en una ubicación segura porque debe utilizarlos para restaurar la instancia de App ID en una región secundaria.

Defina los valores de la copia de seguridad basándose en la configuración de la instancia de App ID, como por ejemplo lo que se necesita para su caso de uso. Por ejemplo, en el escenario siguiente, puede configurar la instancia de App ID con los valores siguientes:

• políticas de contraseñas, como bloquear el perfil de usuario durante 60 minutos si el usuario especifica una contraseña incorrecta durante tres veces seguidas
• Configuración de SAML

Con el siguiente script terraform, puede recuperar la configuración actual y almacenarla en archivos.

terraform {
  required_providers {
    ibm = {
      source = "IBM-Cloud/ibm"
      version = ">= 1.12.0"
    }
  }
}

variable "tenant_id" {
  type = string
  default = "<<YOUR TENANT ID>>"
}

variable "region" {
  type = string
  default = "<<THE REGION YOUR TENANT IS LOCATED>>"
}

provider "ibm" {
  region = var.region
  ibmcloud_api_key = "<<API KEY TO ACCESS APP ID INSTANCE>>"
}

##### ---------- Getting the configuration from your App ID instance ---------- #####

# Get Settigs about Password's rules
data "ibm_appid_apm" "app" {
    tenant_id = var.tenant_id   
}

# Get SAML config
data "ibm_appid_idp_saml" "saml" {
    tenant_id = var.tenant_id
}

##### ---------- Saving the App ID configuration to files ---------- #####

resource "local_file" "app_config" {
    content  = jsonencode(data.ibm_appid_apm.app)
    filename = "${path.module}/backup_configurations/app_config.json"
}

resource "local_file" "saml_config" {
    content  = jsonencode(data.ibm_appid_idp_saml.saml)
    filename = "${path.module}/backup_configurations/saml_config.json"
}

En el escenario anterior, los archivos que contienen las copias de seguridad se almacenan localmente. Pero, puede guardarlos en cualquier otro lugar de almacenamiento que prefiera, como por ejemplo IBM Cloud Object Storage.

Para generar una copia de seguridad de los usuarios y perfiles de usuario de Cloud Directory, se recomienda utilizar la API de gestión.

• Para exportar usuarios de Cloud Directory, utilice el punto final de API cloud_directory/export/all. Para descargar la exportación, utilice la API cloud_directory/export/download. Para obtener más detalles sobre cómo exportar usuarios de Cloud Directory con la API de gestión, consulte Exportación de todos los usuarios.
• Para exportar perfiles de usuario, utilice el punto final users/export.
• Estas dos API de exportación generan dos archivos de copia de seguridad, que debe almacenar para utilizarlos más adelante en el proceso de restauración.

Restauración de la instancia de App ID utilizando la API

En primer lugar, debe suministrar manualmente una nueva instancia de App ID en la región secundaria. A continuación, puede restaurar los valores de App ID leyendo los archivos de copia de seguridad y utilizando la solicitud de API de gestión para configurar la instancia de App ID en la región secundaria.

Continuando con el escenario incluido en la sección de copias de seguridad, puede restaurar la configuración de SAML y las políticas de contraseñas enviando lo siguiente a la API de gestión:

• una solicitud PUT al endpoint /management/v4/<tenantId>/config/cloud_directory/advanced_password_management para actualizar la configuración de la gestión avanzada de contraseñas. Pase los datos almacenados en la copia de seguridad como cuerpo de la solicitud HTTP.

curl -X 'PUT' \
  'https://<region>.appid.cloud.ibm.com/management/v4/<tenantId>/config/cloud_directory/advanced_password_management' \
  --header 'accept: application/json' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: Bearer <IAM_Token>' \
  -d '<Data_from_your_backup_file>'

• una solicitud PUT al /management/v4/<tenantId>/config/idps/saml para actualizar la configuración de SAML IdP. Pase los datos almacenados en la copia de seguridad como cuerpo de la solicitud HTTP.

curl -X 'PUT' \
  'https://<region>.appid.cloud.ibm.com/management/v4/<tenantId>/config/idps/saml' \
  --header 'accept: application/json' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: Bearer <IAM_Token>' \
  -d '<Data_from_your_backup_file>'

Para restaurar las copias de seguridad de los usuarios de Cloud Directory y sus perfiles, si están disponibles, se recomienda utilizar la API de gestión:

• Para importar usuarios de Cloud Directory, utilice el punto final de API cloud_directory/import/all. Para obtener más detalles sobre cómo importar usuarios de Cloud Directory con la API de gestión, consulte la documentación Importación de todos los usuarios.
• Para importar los perfiles de usuario, utilice el punto final users/import.

Restauración de la instancia de App ID utilizando Terraform y la API

Cuando utiliza una combinación de Terraform y la API de gestión para restaurar la instancia de App ID, el primer paso es escribir el script de Terraform para suministrar una nueva instancia de App ID en la región secundaria. A continuación, puede restaurar los valores de App ID leyendo los archivos de copia de seguridad y utilizando los mandatos terraform para configurar la instancia de App ID en la región secundaria.

Continuando con el escenario que se incluye en la sección de copias de seguridad, puede restaurar la configuración de SAML y las políticas de contraseñas con el siguiente script:

terraform {
  required_providers {
    ibm = {
      source = "IBM-Cloud/ibm"
      version = ">= 1.12.0"
    }
  }
}

variable "backup_region" {
  type = string
  default = "<<REGION WHERE TO CREATE THE NEW APPID INSTANCE>>"
}

variable "backup_appid_instance_name" {
  type = string
  default = "<<THE NAME OF THE NEW APPID INSTANCE>>"
}

provider "ibm" {
  region = var.backup_region
  ibmcloud_api_key = "<<API KEY TO ACCESS APP ID INSTANCE>>"
}

##### ---------- Creating an AppID instance in a secondary location ---------- #####

data "ibm_resource_group" "group" {
  name = "Default"
}

resource "ibm_resource_instance" "backup_appid_instance" {
  name              = var.backup_appid_instance_name
  service           = "appid"
  plan              = "graduated-tier"
  location          = var.backup_region
  resource_group_id = data.ibm_resource_group.group.id
  tags              = ["backup_instance", "backup_of_appid_from_primary_region"]
}

##### ---------- Getting the configuration from the local backups ---------- #####

locals {
	app_config = jsondecode(file("${path.module}/backup_configurations/app_config.json"))
	saml_config = jsondecode(file("${path.module}/backup_configurations/saml_config.json"))
}


##### ---------- Restoring the App ID configuration into the new App ID instance ---------- #####


# Setting SAML config in the new App ID Instance
resource "ibm_appid_idp_saml" "saml" {
  tenant_id = resource.ibm_resource_instance.backup_appid_instance.guid
  is_active = local.saml_config.is_active
  config {
    entity_id = local.saml_config.config[0].entity_id
    sign_in_url = local.saml_config.config[0].sign_in_url
    display_name = local.saml_config.config[0].display_name
    encrypt_response = local.saml_config.config[0].encrypt_response
    sign_request = local.saml_config.config[0].sign_request
    certificates = [local.saml_config.config[0].certificates[0]]
  }
}

# Setting password policies config in the new App ID Instance
resource "ibm_appid_apm" "apm" {
  tenant_id = resource.ibm_resource_instance.backup_appid_instance.guid
  enabled = local.app_config.enabled
  prevent_password_with_username = local.app_config.prevent_password_with_username

  password_reuse {
    enabled = local.app_config.password_reuse[0].enabled
    max_password_reuse = local.app_config.password_reuse[0].max_password_reuse
  }

  password_expiration {
    enabled = local.app_config.password_expiration[0].enabled
    days_to_expire = local.app_config.password_expiration[0].days_to_expire
  }

  lockout_policy {
    enabled = local.app_config.lockout_policy[0].enabled
    lockout_time_sec = local.app_config.lockout_policy[0].lockout_time_sec
    num_of_attempts = local.app_config.lockout_policy[0].num_of_attempts
  }

  min_password_change_interval {
    enabled = local.app_config.min_password_change_interval[0].enabled
    min_hours_to_change_password = local.app_config.min_password_change_interval[0].min_hours_to_change_password
  }
}

Para restaurar usuarios y perfiles de usuario de Cloud Directory, se recomienda utilizar la API de gestión:

• Para importar usuarios de Cloud Directory, utilice el punto final de API cloud_directory/import/all. Para obtener más detalles sobre cómo importar usuarios de Cloud Directory con la API de gestión, consulte Importación de todos los usuarios.
• Para importar los perfiles de usuario, utilice el punto final users/import.